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(§) Vorrichtung zur Prufung einer Watchdog-Schaltung 

(§7) Es wird eine Vorrichtung zur Prufung einer Watchdog- 
Schaitung vorgeschlagen, bei der die von der Watchdog- 
Schaltung zu uberwachenden Impuise eines Mikrocompu- 
ters bzw. deren Pausenzeiten schrittweise verlangerl wer- 
den, bis die Watchdog-Schaltung anspricht und ein entspre- 
chendes Reset-Signal an den Mikrocomputer abgibt. Die 
Funktionsprufung der Watchdog-Schaltung wird nach jedem 
Kaltstart des Mikrocomputers wiederholt. Diese Anordnung 
ist besonders geeignet fur sicherheitsrelevante Systeme, bei 
deneh die Funktionssicherheit der einzelnen Komponenten 
wie Mikrocomputer und Stellglieder zu uberwachen sind. 
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Beschreibung 



Stand der Technik 

Die Erfindung geht aus von einer Vorrichtung zur 
Prufung einer Watchdog-Schaltung nach der Gattung 
des Hauptanspruchs. Bei Verwendung einer Watchdog- 
Schaltung zur Oberwachung einer Pulssequenz eines 
Mikrocomputers geht man davon aus, daB der Mikro- 
computer wahrend des Programmlaufes an einem Pro- 
grammschritt "hangenbleibt* und die Watchdog-Schal- 
tung nach Ablauf einer bestimmten Zeit einen Resetbe- 
fehl an den Mikrocomputer abgibt Dabei wird voraus- 
gesetzt, daQ die Watchdog-Schaltung stets fehlerfrei ar- 
beitet Aus der DE-OS 37 90 886 ist schon eine Watch- 
dog-Schaltung bekannt, mit deren Hilfe im wesentlichen 
rechnergesteuerte Stellglieder sowie der Ausgang des 
Mikrocomputers uberpruft werden. Eine Oberwachung 
der Watchdog-Schaltung selbst findet jedoch nicht statt 

Eine zuverlassige Oberwachung der Watchdog- 
Schaltung in Verbindung mit dem Mikrocomputer ist 
insbesondere bei zuverlassigkeits- und sicherheitsrele- 
vanten Systemen erforderlich. Ein Beispiel hierfur sind 
Zundschaltungen oder Sicherheitseinrichtungen in 
FCraftfahrzeugen wie Antiblockiersysteme oder passive 
Riickhaltesysteme wie Airbag oder Sicherheitsgurte, die 
im Moment des Aufpralls in Funktion treten mussen. Da 
jedoch nicht nur diese Systeme, sondern auch die 
Watchdog-Schaltung selbst fehlerhaft sein kann, ist es 
erforderlich, deren Funktionssicherheit in bestimmten 
Zeitabstanden zu uberprufen und im Fehlerfall eine 
Alarmmeldung auszugeben. Bei Ausfall der Oberwa- 
chungsvorrichtung bzw. der Watchdog-Schaltung konn- 
te ein Fehler im Mikrocomputer oder im Stellglied nicht 
mehr erkannt werden, so daB es zu einer Fehlfunktion 
kommen kann, was insbesondere in einem sicherheitsre- 
levanten System kritisch sein kann. 

Vorteile der Erfindung 

Die erfindungsgemaBe Vorrichtung mit den kenn- 
zeichnenden Merkmalen des Hauptanspruchs hat dem- 
gegenuber den Vorteil, daB bei einem Testzyklus an- 
hand der vorgegebenen Impulsfolge die einwandfreie 
Funktion der Watchdog-Schaltung uberprufbar ist. 
Denn bei Uber- oder Unterschreiten von vorgegebenen 
Grenzwerten fiir die Impulsfolge muB die Watchdog- 
Schaltung ein Fehlersignal abgeben. Bleibt dieses Signal 
aus, dann ist dieses ein Zeichen fur eine fehlerhafte 
Funktion der Watchdog-Schaltung. 

Durch die in den Unteranspruchen aufgefiihrten 
MaBnahmen sind vorteilhafte Weiterbildungen und 
Verbesserungen der im Hauptanspruch angegebenen 
Vorrichtung moglich. Besonders vorteilhaft ist, daB die 
Impulsfolge schrittweise anderbar ist, da dadurch die 
Ansprechgrenze fur die Watchdog-Schaltung exakt er- 
mittelt werden kann. 

Ein weiterer Vorteil ist darin zu sehen, daB das Signal 
der Watchdog-Schaltung einen Reset des Mikrocompu- 
ters auslost Dadurch wird der Programmlauf des Mi- 
krocomputers unterbunden und der Mikrocomputer auf 
die Startposition zuriickgesetzt 

Auch ist als Vorteil anzusehen, daB die Impulsfolge 
fur den Testzyklus der Watchdog-Schaltung vor Beginn 
des eigentlichen Arbeitsprogramms abgegeben wird, da 
dadurch bereits nach dem Einschalten des Mikrocompu- 
ters ein Funktionsausfall der Watchdog-Schaltung er- 



kennbar wird. 

Urn sicherzustellen, daB die Watchdog-Schaltung bei 
einwandfreier Funktion nicht erneut gepriift wird, ist es 
vorteilhaft, nach einem Reset-Befehl fur den Mikrocom- 
5 puter ein entsprechendes Codewort in einen Speicher 
einzuschreiben, das einerseits die Funktionsbereitschaft 
der Watchdog-Schaltung dokumentiert und anderer- 
seits die bereits erfolgte Prufung erkennen laBt. 

Besonders vorteilhaft ist, daB das Codewort in einem 
io nichtfluchtigen Halbleiterspeicher abgelegt wird, damit 
es bei einem Spannungabfall nicht verlorengeht. 

Ein weiterer Vorteil ist auch darin zu sehen, daB nach 
erfolgter Prufung das Codewort geandert wird. Da- 
durch ist insbesondere nach dem Einschalten des Mikro- 
15 computers die Moglichkeit gegeben, die Watchdog-Prij- 
fung durchzufuhren, wenn das Codewort fehlt. Dagegen 
unterbleibt die Prufung, wenn das Codewort vorhanden 
ist. 

Weitere Vorteile der Erfindung sind der Beschrei- 
20 bung entnehmbar. 

Zeichnung 

Ausfiihrungsbeispiele der Erfindung sind in der 
25 Zeichnung dargestellt und in der nachfolgenden Be- 
schreibung naher erlautert Es zeigen 

Fig. 1 ein Blockschaltbild eines Ausfiihrungsbeispiels; 
die Fig. 2 ein Pulsdiagramm und die Fig. 3 ein FluBdia- 
gramm. 

30 

Beschreibung des Ausfiihrungsbeispiels 

In Fig. 1, ist ein Blockschaltbild mit einem Mikrocom- 
puter 1 dargestellt, der neben den ublichen bekannten 

35 Bestandteilen eines Mikrocomputersystems wie Einga- 
be, Arbeitsspeicher und Recheneinheit einen Impulsge- 
ber 11 enthalt. Der Impulsgeber 11 entspricht dem be- 
kannten Taktgenerator eines Mikrocomputers, der bei 
jedem Takt den Mikrocomputer 1 aktiviert. Der Impuls- 

40 geber 11 erzeugt beispielsweise positive Rechteckim- 
pulse mit der Amplitude U und der Pulsdauer Tj (Fig. 2). 
Die Pausendauer zwischen zwei nachfolgenden Impul- 
sen ist T p . Durch ein im Mikrocomputer 1 gespeichertes 
Steuerprogramm ist der Impulsgeber 11 in der Lage, die 

45 Pausendauer T p um eine Zeitdauer dt schrittweise zu 
verlangern, so daB der n-te-Impuls nach der Zeit nxdt 
folgt. Das bedeutet, daB die Pausendauer T p von einem 
Impuls zum nachsten Impuls um eine gewisse Zeit nxdt 
vergroBert wird. Die Impulsfolge wird uber den Aus- 

50 gang 10 des Mikrocomputers 1 mittels der Leitung 3 auf 
den Eingang 11 einer Watchdog-Schaltung 4 gegeben. 
Der Ausgang 12 der Watchdog-Schaltung 4 ist uber die 
Leitung S mit dem Eingang 13 des Mikrocomputers 1 
verbunden. Der Eingang 13 ist als Reset-Eingang fiir 

55 den Mikrocomputer 1 ausgebildet. Desweiteren ist an 
dem Mikrocomputer 1 eine. Anzeige 2 vorgesehen, die 
beispielsweise als LCD- oder LED-Anzeige ausgebildet 
ist. 

In Fig. 2 ist eine Impulsfolge dargestellt, bei der die 
60 Impulse Ti in schrittweise zunehmendem Abstand fol- 
gen. Die Amplitude U sowie die Pulsdauer Tj sind kon- 
stant. Besonders einfach wirkt die Ansteuerung des 
Pulsgebers 1 1 dadurch, daB die kleinste Zeiteinheit fiir 
die Pausendauer T p gleich der Zeit dt entspricht. Da- 
65 durch kann durch eine einfache Programmschleife die 
Pausendauer T p gleichmaBig erhoht werden. 

In weiterer Ausgestaltung der Erfindung ist es vorge- 
sehen, anstelle der Verlangerung der Pausendauer die 
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Pausendauer T p konstant zu halten und die Pulsdauer Ti 
in derselben Art und Weise, wie zuvor fur die Pausen- 
dauer beschrieben wurde, zu verlangern. Es ist jedoch 
auch vorgesehen, die Puis- bzw. Pausendauer nicht zu 
verlangern, sondern schrittweise zu verkiirzen. In die- 5 
sem Fall muB von einer maximalen Puis- bzw. Pausen- 
dauer ausgegangen werden, die schrittweise verkurzt 
wird bis zu einem Minimum. Eine schrittweise Verande- 
rung in sowohl Verlangerung als auch Verkiirzung des 
Zeitintervalls ermogltcht dariiberhinaus den Test einer 10 
sogenannten Fensterwatchdog-Anordnung, das heiBt, 
einer Watchdogschaltung, die sowohl eine untere als 
auch eine obere Grenze iiberwacht 

Im folgenden wird die Wirkungsweise dieser Schal- 
tungsanordnung beschrieben. 15 

Die Vorrichtung wird zur Funktionsprufung einer 
Watchdog-Schaltung verwendet Bei einem Kaltstart 
des Mikrocomputers 1, d. h. nach Anlegen der Betriebs- 
spannung und Laden des Arbeitsprogrammes, wird der 
Mikrocomputer 1 zunachst durch einen Resetbefehl zu- 20 
ruckgesetzt und zunachst der Impulsgeber 11 zur Aus- 
sendung einer nach Fig. 2 dargestellten Impulsfolge ge- 
startet Die Watchdog-Schaltung 4 empfangt uber ihren 
Eingang 11 die ausgesandte Impulsfolge und miBt die 
Pausendauer T p . Liegt die Pausendauer T p unterhalb 25 
eines bestimmten Grenzwerts, dann bleibt der Ausgang 
12 der Watchdog-Schaltung 4 nicht aktiviert. Uber- 
schreitet die Pausendauer T p den vorgegebenen Grenz- 
wert, was nach einigen Impulsen aufgrund der stetig 
zunehmenden Pausendauer erreicht ist, dann wird der 30 
Ausgang 12 aktiviert und sendet ein entsprechendes Si- 
gnal an den Eingang 13 des Mikrocomputers 1. Da der 
Eingang 13 als Reset-Eingang dient, bewirkt das Signal 
ein Zuriicksetzen des Mikrocomputers. Desweiteren 
wird aus einer Speicherzelle des Speichers 6 ein Code- 35 
wort ausgelesen, das die Information fur die Uberschrei- 
tung des vorgegebenen Grenzwertes angibt Da das Co- 
dewort in Verbindung mit der den Grenzwert uber- 
schreitenden Pausendauer T p das einwandfreie Funk- 
tionsverhalten der Watchdog-Schaltung signalisiert, 40 
wird nun das Arbeitsprogramm des Mikrocomputers 1 
gestartet. Im nachsten Schritt wird jedoch das Code- 
wort in der Speicherzelle des Speichers 6 geloscht und 
eine neutrale Information eingeschrieben. Dieses hat 
den Vorteil, daB bei einem erneuten Kaltstart des Mi- 45 
krocomputers 1 zunachst die Testfunktion fur die 
Watchdog-Schaltung 4 gestartet werden muB. 

Ein weiteres besonders einfaches Ausfuhrungsbei- 
spiel fur den Funktionstest der Watchdog-Schaltung 4 
ist darin zu sehen, daB anstelle der Impulsfolge lediglich 50 
ein 0- bzw. 1-Impuls gesendet werden. Diese Impulse 
sind so lang, daB beim O-Impuls die Watchdog-Schal- 
tung 4 noch nicht anspricht, wahrend sie bei 1-Impuls 
auf jeden Fall anspricht. Damit ist auch gewahrleistet, 
daB die Watchdog-Schaltung richtig arbeitet. Die Aus- 55 
wertung des Watchdog-Signals erfolgt in der gleichen 
Weise, wie es zuvor beschrieben wurde. 

Das FluBdiagramm der Fig. 3 zeigt ein weiteres Aus- 
fuhrungsbeispiel der Erfindung, mit dem die Funktion 
einer Watchdog-Schaltung mit einem Fensterkompara- 60 
tor gepriift werden kann. Dabei wird zur Priifung des 
Fensters iiblicherweise die Periodendauer einer Pulsfol- 
ge auf einen minimalen und maximalen Grenzwert ge- 
priift. Der Einfachheit halber wird angenommen, daB die 
Pulslange Ti konstant ist und die Pausendauer T p schritt- 65 
weise verlangert bzw. verkurzt wird. 

GemaB der Fig. 3 wird nach dem Einschalten des Mi- 
krocomputers und dem Laden, des Programmes ein Re- 



set ausgelost (Position 29). In Position 30 wird aus dem 
Speicher 6 das Kennwort 1 ausgelesen und in Position 
31 uberpriift Ist es "neutral" dann wird in Position 32 ein 
Laufzahler auf eine beliebige Kennziffer, zum Beispiel 5, 
gesetzt. Der Zahler gibt an, wie lang die Impulsfolge zur 
Priifung der Watchdog-Schaltung sein soil, d. h. wie vie- 
le Perioden mit der gleichen Periodendauer durchlaufen 
werden sollen. Diese Funktion dient in besonders vor- 
teilhafter Weise einerseits dazu, daB eine Priifredun- 
danz erfolgt, die frei von Storsignalen oder Fehlmessun- 
gen ist Andererseits wird durch die Wiederholung der 
Einzelimpulse sichergestellt, daB sich die physikalisch 
bedingten Schaltzeiten der Hardware-Komponenten 
auf das MeBergebnis nicht storend auswirken. 

In einem Beispiel soli angenommen werden, daB die 
minimale Grenze fiir die Pausendauer T m i n gleich 3 Mil- 
lisekunden und die fiir die maximale Pausendauer T max 
gleich 8 Millisekunden lang sei. Der Fenster- Watchdog 
soli nun jedesmal ein Reset-Signal an den Mikrocompu- 
ter 1 auf der Datenleitung 5 abgeben, wenn die minimale 
Grenze unterschritten oder die maximale Grenze uber- 
schritten ist Urn den Testlauf zu starten, wird daher in 
Position 33 eine mittlere Pausendauer Tnorm 6 ms ange- 
nommen. Dieser Wert wird als Codewort im Speicher 6 
abgelegt In Position 34 wird nun von der Watchdog- 
Oberwachung uberpriift, ob die Zeit T n0 rm zwischen den 
Grenzwerten 3 und 8 ms liegt Ist die Bedingung erfiillt, 
wird der Zahler dekrementiert, also auf vier reduziert 
(Position 35). In Position 36 wird gepriift, ob der Zahler 
den Wert null hat. Da im Zahlerregister noch die vier 
steht, wird ein erneuter Impuls ausgesandt mit der glei- 
chen Impulslange Tnorm = 6 ms ausgesandt, und die Ab- 
frage beginnt wieder in Position 34. Ist nach funf Zyklen, 
d h. sind nun insgesamt f iinf Impulse Ti bzw. Pausendau- 
er T p ausgesandt worden, dann hat in Position 36 der 
Zahler den Wert null. Im nachsten Schritt wird nun in 
Position 38 der Zahler wieder auf einen Startwert ge- 
setzt, der beispielsweise wieder die 5 sein kann. In Posi- 
tion 37 wird nun die Pausendauer urn eine Zeiteinheit dt 
erhoht, so daB nun die Pausendauer 7 ms betragt und 
der neue Wert fiir die Pausendauer als Codewort 1 im 
Speicher 6 abgelegt AnschlieBend wird wieder in Posi- 
tion 34 abgefragt, ob die vorgegebenen Grenzen uber- 
bzw. unterschritten sind. Nun lauft die Schleife 34 — 35 
— 36 — 34 . . . wieder so lange ab, bis der Zahler den 
Wert null hat. Danach wird wieder in die Schleife 38 — 
37 gesprungen und die Pausendauer erneut um eine 
Einheit auf 8 ms erhoht AnschlieBend erfolgt wieder die 
Abfrage uber die Schleife 34 — 35 — 36 — 34 usw. Beim 
nachsten Durchlauf, wenn die Pausendauer auf 9 ms 
erhoht wurde, wird die Grenzuberschreitung in Position 
34 erkannt und auf Position 29 zuriickgesprungen. 

In Position 29 wird ein Reset des Mikrocomputers 
ausgelost Ware die Watchdog-Schaltung nicht in Ord- 
nung, dann wurde der Resetbefehl nicht ausgelost wer- 
den und der Mikrocomputer nach einer gewissen Zeit 
abgeschaltet werden bzw. ein Fehlersignal ausgegeben. 

Nach dem Rucksprung in Position 29 wird nun in 
Position 30 das zuvor eingeschriebene Kennwort 1 aus- 
gelesen und damit in Position 31 erkannt, daB das Kenn- 
wort nicht "neutral" ist In diesem Fall wird das Kenn- 
wort 1 auf der Anzeige 51 dargestellt, wodurch man den 
Wert fiir die maximale Pausendauer ablesen kann. Da- 
nach wird in der zweiten Spalte in Position 39 das Kenn- 
wort 2 ausgelesen und in Position 40 uberpriift Das 
Kennwort 2 entspricht dem unteren Grenzwert T m ; n 
Der weitere Prufablauf erfolgt analog, wie zuvor be- 
schrieben. In Position 41 wird wieder der Zykluszahler 
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auf einen beliebigen Wert, beispielsweise 5 gesetzt und 
in Position 42 wird eine neue Startzeit Tnorm, beispiel- 
weise wieder 5 ms, eingegeben und als Codewort 2 im 
Speicher 6abgelegt. Die Eingaben fur die Startzeiten 
sind bereits bei der Erstellung der Watchdog- Oberwa- 5 
chung festgelegt. 

In Position 43 erfolgt nun durch die Watchdog-Uber- 
wachung die Abfrage nach Unterschreitung der mini- 
malen Pausendauer T m j n , In Position 44 wird wieder der 
Zahler auf eine Position zuriickgesetzt und in Position 10 
45 der Zahlerstand auf den Wert null abgefragt Es er- 
folgt eine erneute Puis- bzw. Pausenausgabe mit glei- 
cher Lange und ein Rucksprung auf Position 43. Die 
Schleife 43 — 44 — 45 wiederholt sich so oft, bis der 
Zahler auf null gesetzt ist Danach erfolgt ein Sprung auf 15 
Position 47, in der der Zahler auf einen neuen Startwert 
gesetzt wird. In Position 46 wird nun die Pausendauer 
um eine Zeiteinheit reduziert, als Codewort 2 im Spei- 
cher 6 abgelegt, und in Position 43 erneut auf den 
Grenzwert abgefragt. Anschlieflend wird die Schleife 43 20 
— 44 — 45 — 43 wieder so oft durchlaufen, bis der 
Zahler den Wert null hat. 

Nach dem Start des Mikrocomputers kann dieser nun 
beide Codeworte 1 und 2 auslesen. Er erkennt, daB beide 
Codeworte 1, 2 nicht "neutral" sind. Nach der Darstel- 25 
lung des Codeworts 2 auf der Anzeige 52 werden die 
beiden Speicherzellen (Position 50) wieder auf "neutral" 
gesetzt, um den Test wieder zu initialisieren. Er springt 
dann uber die Position 31, 39 und 40 in die Startposition 
seines regularen Arbeitsprogramms (Position 49) und 30 
kann dieses Programm abarbeiten. Die Anzeigen51 und 
52 konnen auch als einzige Anzeige ausgebildet sein. 

Fur den Fall eines fluchtigen Speichers oder das Ldr 
schen des nicht fluchtigen Speichers innerhalb des Ar- 
beitsprogramms von auflen (zum Beispiel Qber Diagno- 35 
se) kann Schritt 50 so entfallen, wenn man mochte, daB 
erst beim Ausschalten der Watchdog-Schaltung bzw. 
des Mikrocomputers bzw. der Spannungsversorgung 
des Speichers werden die Codeworte geloscht, damit 
beim nachsten ICaltstart des Mikrocomputers ein erneu- 40 
ter Watchdog-Test erfolgen kann. Dann liest der Mikro- 
computer im Warmstart-Fall die nicht neutralen Code- 
worte 1 und 2 aus und beginnt sofort mit dem Arbeits- 
programm. 
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1. Vorrichtung mit einem Mikrocomputer und einer 
Watchdog-Schaltung, deren Eingang mit einem Im- 
pulsausgang des Mikrocomputers und deren Aus- 
gang mit einem Steuereingang eines Mikrocompu- 
ters verbunden ist, dadurch gekennzeichnet, daB 
der Mikrocomputer (1) einen Impulsgeber (It) auf- 
weist, daB der Impulsgeber (11) wenigstens zeitwei- 

se eine Impulsfolge mit variabler Pulsdauer (Ti) 55 
und/oder Pausendauer (T p ) und/oder Amplitude an 
die Watchdog-Schaltung (4) abgibt, daB die Watch- 
dog-Schaltung (4) die abgegebene Impulsfolge mit 
einem vorgegebenen Grenzwert vergleicht und bei 
deren Ober- und/oder Unterschreiten ein Signal an 
den Mikrocomputer (1) abgibt. 

2. Vorrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die Pulsdauer (Ti) und/oder die Pau- 
sendauer (T p ) der Impulsfolge schrittweise veran- 
derbarist. 

3. Vorrichtung nach einem der vorhergehenden 
Anspruche, dadurch gekennzeichnet, daB das Si- 
gnal einen Reset des Mikrocomputers (1) auslost. 
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4. Vorrichtung nach einem der vorhergehenden 
Anspruche, dadurch gekennzeichnet, daB die Im- 
pulsfolge abgegeben wird, bevor das Arbeitspro- 
gramm des Mikrocomputers (1) startet 

5. Vorrichtung nach einem der vorhergehenden 
Anspruche, dadurch gekennzeichnet, daB der Mi- 
krocomputer (1) bei fehlendem Codewort den Pruf- 
zyklus fur die Watchdog-Schaltung startet 

6. Vorrichtung nach einem der vorhergehenden 
Anspruche, dadurch gekennzeichnet, daB das Co- 
dewort geandert wird, wenn die Prufung der 
Watchdog-Schaltung positiv verlauft 
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